Kundenservice Veranstaltungen: 02234-9894940
Kundenservice Bücher: 089-21837921
Aboservice Zeitschriften: 089-21837110

StoneDrill: Neues hochentwickeltes Zerstörungsprogramm entdeckt

Kaspersky Lab hat mit StoneDrill eine neue hochentwickelte Wiper-Malware entdeckt [1]. Das Programm ist wie der berüchtigte Shamoon-Wiper in der Lage, auf einem infizierten Computer zerstörerischen Schaden anzurichten. Zudem verfügt StoneDrill über fortschrittliche Technologien, die eine Entdeckung extrem erschweren sowie über Spionage-Tools. Neben Zielen im Nahen Osten wurde auch ein Zielobjekt in Europa entdeckt.

Im Jahr 2012 schaltete der Wiper Shamoon [2] rund 35.000 Computer einer Öl- und Gasfirma aus dem Nahen Osten aus, eine verheerende Attacke, die zehn Prozent der weltweiten Ölversorgung potenziell gefährdete. Es handelte sich allerdings um einen Einzelvorfall, bei dem nichts über die Akteure bekannt wurde. Ende des Jahres 2016 tauchte allerdings mit Shamoon 2.0 eine weitaus umfangreichere schädliche Kampagne mit einer stark aktualisierten Version der Malware aus dem Jahr 2012 auf. Bei der Untersuchung dieser Angriffe entdeckten die Experten von Kaspersky Lab unerwartet eine Malware (StoneDrill), die Shamoon 2.0 sehr ähnlich, aber gleichzeitig anders und anspruchsvoller als Shamoon war.

StoneDrill: Verbindungen zu anderen Wipern und Cyberspionageoperationen

Noch ist unbekannt, wie sich StoneDrill ausbreitet. Gelangt das Schadprogramm auf ein Gerät injiziert es sich in den Speicher des vom Nutzer bevorzugten Browsers. Während dieses Prozesses nutzt die Malware zwei komplexe Anti-Emulation-Techniken, mit denen auf dem Gerät installierte Sicherheitslösungen überlistet werden sollen. Anschließend beginnt die Malware mit der Zerstörung und Sabotage.

Laut den Experten von Kaspersky Lab beinhaltet StoneDrill neben der Zerstörungsfunktion auch ein Backdoor-Programm, das scheinbar von denselben Code-Schreibern entwickelt wurde und für Cyberspionage eingesetzt werden kann. Die Cybersicherheitsexperten machten darüber hinaus vier Command-and-Control-Panels ausfindig, die die Angreifer zur Durchführung von Cyberspionage mittels der StoneDrill-Backdoor gegen eine nicht bekannte Anzahl von Zielobjekten nutzen.

Interessant an StoneDrill ist, dass scheinbar Verbindungen zu anderen Wipern sowie zu vorangegangenen Cyberspionageoperationen existieren. Als die Experten von Kaspersky Lab StoneDrill mithilfe von Yara-Regeln zur Identifizierung unbekannter Shamoon-Samples entdeckten, bemerkten sie, dass sie ein einzigartiges gefährliches Code-Teil entdeckten, das wohl unabhängig von Shamoon erstellt wurde. Auch wenn StoneDrill und Shamoon nicht exakt denselben Code teilen, scheinen Denkart der Autoren und Programmierstil ähnlich zu sein. Daher ließ sich StoneDrill auch mit den für Shamoon entwickelten Yara-Regeln ausfindig machen.

Auch wurden Ähnlichkeiten im Code mit älterer bekannter Malware festgestellt; allerdings in diesem Fall nicht zwischen Shamoon und StoneDrill, sondern mit einem zuvor bei der NewsBeef APT (alias Charming Kitten) [3] entdeckten Code. Hierbei handelt es sich um eine weitere gefährliche Kampagne der vergangenen Jahre.

„Die Ähnlichkeiten und Vergleiche der drei bösartigen Operationen haben uns fasziniert. Ist StoneDrill ein weiterer Wiper der Shamoon-Akteure? Oder stecken hinter StoneDrill und Shamoon zwei verschiedene und nicht miteinander verbundene Gruppen, die gerade zufällig saudische Organisationen anvisierten? Oder handelt es sich um zwei verschiedene Gruppe, die untereinander ihre Ziele abgleichen?“, so Mohamad Amin Hasbini, Senior Security Researcher bei Kaspersky Lab. „Letzteres ist wohl am wahrscheinlichsten: betrachtet man die Artefakte genauer, sieht man, dass bei Shamoon arabisch-jemenitische Sprachelemente auftauchen, während bei StoneDrill Persisch überwiegt. Geopolitische Experten würden wohl davon ausgehen, dass sowohl der Iran als auch der Jemen Akteure im Stellvertreterkonflikt zwischen dem Iran und Saudi-Arabien sind; und Saudi-Arabien das Land ist, in dem die meisten Opfer dieser Operation gefunden wurden. Aber natürlich lässt sich nicht ausschließen, dass hier auch unter falscher Flagge operiert werden könnte.“

Schutz für Organisationen

Organisationen schützen sich vor diesen Attacken, indem sie die folgenden Sicherheitsmaßnahmen beachten:

  • eine Sicherheitsbewertung des Kontrollnetzwerks (Security Audit, Penetrationstest, Gap-Analyse) zur Identifizierung und Entfernung von Sicherheitslücken durchführen;
  • externe Zulieferer sowie die Sicherheitsrichtlinien von Drittanbietern überprüfen, sollten diese direkten Zugriff auf das Steuerungsnetzwerk haben;
  • externe Security Intelligence hinzuziehen: Externe Experten unterstützen Organisationen dabei, künftige Angriffe auf industrielle Infrastruktur eines Unternehmens vorherzusagen. Kaspersky Lab bietet diese Intelligence mit seinem ICS-CERT kostenlos an;
  • die eigenen Angestellten schulen, besonders operativ und technische tätige Mitarbeiter sollten ihr Bewusstsein für aktuelle Bedrohungen und Angriffe schärfen;
  • Schutz sowohl innerhalb als auch außerhalb der Unternehmensperimeter gewährleisten. Eine geeignete Sicherheitsstrategie muss erhebliche Ressourcen für die Angriffserkennung und -reaktion aufbringen, um einen Angriff blockieren zu können, bevor er ein kritisches Objekt erreicht;
  • Erweiterte Schutzmethoden in Betracht ziehen; dazu gehören regelmäßige Integritätsprüfungen und eine spezialisierte Netzwerküberwachung.

Mehr Informationen zu Shamoon 2.0 und StoneDrill sind unter https://de.securelist.com/blog/ereignisse/72483/from-shamoon-to-stonedrill verfügbar.

[1]
https://de.securelist.com/blog/ereignisse/72483/from-shamoon-to-stonedrill
[2]
 https://securelist.com/?s=shamoon
[3]
 https://securelist.com/blog/software/74503/freezer-paper-around-free-meat/